การกรอกอัตโนมัติเป็นความเสี่ยงด้านความปลอดภัยที่ใหญ่ที่สุดในคอมพิวเตอร์ของคุณตอนนี้—นี่คือเหตุผล

การกรอกอัตโนมัติเป็นหนึ่งในคุณสมบัติเล็ก ๆ ที่ทำให้การคอมพิวเตอร์สมัยใหม่รู้สึกง่ายดายโดยไม่รู้ตัว คุณเยี่ยมชมหน้าล็อกอิน และเบราว์เซอร์ของคุณก็ช่วยกรอกอีเมลและรหัสผ่านให้ คุณซื้อของออนไลน์ และรายละเอียดบัตรเครดิตของคุณก็ปรากฏเรียบร้อยโดยไม่ต้องหยิบกระเป๋าสตางค์ มันรวดเร็ว สะดวก และมองไม่เห็น—จนกว่าจะไม่เป็นเช่นนั้น

ในขณะที่การกรอกอัตโนมัติช่วยประหยัดเวลาและความพยายามทางสมอง แต่ก็สามารถเป็นเหมืองทองสำหรับแฮกเกอร์ เว็บไซต์ที่มีเจตนาร้าย หรือแม้แต่ซอฟต์แวร์สอดแนมที่รู้วิธีล่อให้มันเปิดเผยข้อมูลที่ละเอียดอ่อนได้ ส่วนเสริมของเบราว์เซอร์ของคุณสามารถเห็นรหัสผ่านของคุณอยู่แล้ว แต่ด้วยการกรอกอัตโนมัติ ใครก็ตามก็สามารถเห็นพวกมันได้ภายใต้เงื่อนไขที่เหมาะสม

การกรอกอัตโนมัติคือกับดักความสะดวกสูงสุด

รวดเร็ว ไร้การเสียดสี และเสี่ยงอย่างเงียบๆ

ฟังก์ชัน Autofill ถูกออกแบบมาเพื่อวัตถุประสงค์เดียว: ทำให้การกรอกแบบฟอร์มซ้ำ ๆ เป็นเรื่องง่าย มันจำชื่อ ของคุณ ที่อยู่ หมายเลขโทรศัพท์ ข้อมูลเข้าสู่ระบบ และบางครั้งแม้กระทั่งรายละเอียดบัตรเครดิตของคุณ ดังนั้นคุณไม่จำเป็นต้องพิมพ์ซ้ำทุกครั้งที่พบช่องที่คุ้นเคย สำหรับพวกเราส่วนใหญ่ นั่นฟังดูไม่เป็นอันตรายเลย ท้ายที่สุด เบราว์เซอร์อย่าง Chrome, Edge, Firefox, Safari และอื่น ๆ จะเข้ารหัสข้อมูลเหล่านี้และปกป้องด้วยรหัสผ่านของระบบหรือรหัสผ่านหลักแบบเลือกได้

แต่ปัญหาไม่ได้อยู่ที่เจตนา—มันอยู่ที่สภาพแวดล้อมที่ฟังก์ชันกรอกอัตโนมัติทำงาน เมื่อคุณเยี่ยมชมเว็บไซต์ เบราว์เซอร์ของคุณไม่มีวิธีที่สมบูรณ์ในการระบุว่าช่องป้อนข้อมูลใดถูกต้องตามกฎหมายและช่องใดถูกแทรกโดยผู้ประสงค์ร้าย รูทีนกรอกอัตโนมัติทำงานตามชื่อช่องและโครงสร้าง ไม่ใช่บริบทด้านความปลอดภัย ซึ่งหมายความว่าหากเว็บไซต์ที่ไม่น่าเชื่อถือซ่อนช่องหรือสคริปต์ที่มองไม่เห็นไว้หลังหน้าเว็บ เบราว์เซอร์ของคุณสามารถกรอกข้อมูลเหล่านั้นโดยไม่รู้ตัว ทำให้ข้อมูลที่คุณไม่เคยตั้งใจจะแชร์หลุดไป

พูดอีกอย่างก็คือ ฟังก์ชันเติมอัตโนมัติไม่ได้ฉลาดพอที่จะรู้ว่ากำลังถูกหลอกในส่วนใหญ่ และคุณมั่นใจได้เลยว่าผู้ร้ายไซเบอร์ได้หาวิธีใช้ประโยชน์จากสิ่งนั้นแล้ว

ทุ่งที่มองไม่เห็น ผลลัพธ์ที่มองเห็นได้

เว็บไซต์ที่เป็นอันตรายเก็บข้อมูลมากกว่าที่คุณพิมพ์

การโจมตี autofill ที่เป็นที่รู้จักมากที่สุดขึ้นอยู่กับเทคนิคง่ายๆ อย่างหนึ่ง: ฟิลด์ป้อนข้อมูลที่ซ่อนอยู่ เว็บเพจที่เป็นอันตรายอาจรวมกล่องเข้าสู่ระบบที่คุณไม่สามารถเห็นได้—ทำให้มองไม่เห็นด้วย CSS หรือซ่อนไว้นอกหน้าจอ เมื่อฟีเจอร์ autofill ของคุณทำงาน มันจะกรอกไม่เพียงแค่ช่องอีเมลหรือชื่อผู้ใช้ที่มองเห็นได้ แต่ยังรวมถึงช่องที่ซ่อนเหล่านี้ด้วย

หากช่องเหล่านั้นสอดคล้องกับข้อมูลที่ละเอียดอ่อน เช่น ที่อยู่ เบอร์โทรศัพท์ หรือข้อมูลบัตรเครดิตที่บันทึกไว้ ข้อมูลนั้นสามารถถูกส่งกลับไปยังผู้โจมตีได้โดยเงียบ ๆ ในทางกลับกัน คุณเองก็อาจจะไม่เห็นคำเตือนหรือป๊อปอัปใด ๆ มันเกิดขึ้นทั้งหมดเบื้องหลัง โดยปกติใช้เวลาไม่ถึงหนึ่งวินาที

สิ่งที่ทำให้เรื่องนี้แย่ลงคือเว็บเบราว์เซอร์แต่ละตัวมีวิธีจัดการ autofill ที่แตกต่างกัน บางตัวจะกรอกทุกอย่างให้อัตโนมัติเมื่อคุณคลิกในช่องหนึ่ง ในขณะที่บางตัวต้องการการยืนยันอย่างชัดเจน แม้แต่เบราว์เซอร์ที่ปลอดภัยกว่าก็สามารถถูกหลอกได้ถ้า JavaScript ทำให้เบราว์เซอร์คิดว่าช่องนั้นถูกต้อง นี่เป็นช่องโหว่ที่ฝังอยู่ในวิธีการทำงานของ autofill ไม่จำเป็นต้องเป็นข้อบกพร่องในซอฟต์แวร์ที่สามารถแก้ไขได้

แม้แต่โปรแกรมจัดการรหัสผ่านก็สามารถถูกเอาเปรียบได้

ส่วนขยายของเบราว์เซอร์ไม่สามารถป้องกันทุกอย่างได้

ผู้จัดการรหัสผ่านของบุคคลที่สามถูกออกแบบมาเพื่อแก้ไขจุดอ่อนในการกรอกข้อมูลอัตโนมัติบนเบราว์เซอร์ ซึ่งเป็นหนึ่งในเหตุผลที่คุณไม่ควรใช้ผู้จัดการรหัสผ่านที่ติดมากับเบราว์เซอร์ พวกมันช่วยได้ในระดับหนึ่ง โดยผู้จัดการรหัสผ่านหลักๆ เช่น Bitwarden, 1Password หรือ Dashlane มีนโยบายการกรอกข้อมูลอัตโนมัติที่เข้มงวดมากกว่า พวกมันจะกรอกข้อมูลเฉพาะ URL ที่รู้จัก ต้องการการยืนยันจากผู้ใช้ด้วยตนเอง และเข้ารหัสข้อมูลตั้งแต่ต้นทางถึงปลายทาง แต่ถึงกระนั้น แม้แต่พวกนี้ก็ยังสามารถตกเป็นเหยื่อของฟิชชิงได้

หน้าเข้าสู่ระบบปลอมที่สร้างมาอย่างดีซึ่งเลียนแบบของจริงได้อย่างใกล้ชิดสามารถล่อลวงทั้งคุณและตัวจัดการรหัสผ่านให้กรอกข้อมูลรับรองโดยอัตโนมัติ เมื่อรายละเอียดเหล่านั้นถูกส่งออกไป พวกมันก็หายไป ลิงก์ที่อ่อนแอที่สุดมักจะเป็นการยืนยันจากผู้ใช้เสมอ หากคุณเชื่อถือโดเมนผิดหรือคลิกผิด การกรอกอัตโนมัติก็ทำงานตามที่ตั้งใจไว้ เพียงแต่ว่าสำหรับเว็บไซต์ที่ผิด

คู่กับการเพิ่มขึ้นของส่วนขยายเบราว์เซอร์และสคริปต์ข้ามไซต์ การเติมอัตโนมัติเริ่มดูเหมือนจะไม่ใช่ฟีเจอร์ที่สะดวกอีกต่อไป แต่เหมือนเป็นความเสี่ยงที่รอให้โซ่การโจมตีที่เหมาะสมเกิดขึ้น

การเข้ารหัสจะไม่ช่วยคุณจากการคลิกผิด

การเก็บรักษาอย่างปลอดภัยไม่ได้หมายถึงการส่งมอบอย่างปลอดภัย

เบราว์เซอร์เก็บข้อมูลอย่างปลอดภัย โดยทั่วไปจะถูกป้องกันหลังรหัสผ่านของคอมพิวเตอร์ของคุณหรือรหัสซิงค์ของคุณ ซึ่งเป็นความจริงในระดับหนึ่ง แต่เพียงเพราะข้อมูลเติมอัตโนมัติของคุณถูกเข้ารหัสไม่ได้หมายความว่ามันไม่สามารถเข้าถึงได้

ตัวอย่างเช่น ใน Chrome หากมีคนเข้าถึงบัญชีผู้ใช้ของคุณหรือซิงค์โปรไฟล์ของคุณบนอุปกรณ์อื่น พวกเขาสามารถดูข้อมูลการกรอกอัตโนมัติและรหัสผ่านที่บันทึกไว้ทั้งหมดโดยไม่ต้องใช้สิทธิ์เพิ่มเติม Windows และ macOS พยายามป้องกันการเข้าถึงประเภทนี้ แต่มัลแวร์ไม่เล่นกันอย่างยุติธรรม เมื่อระบบถูกเจาะข้อมูลการกรอกอัตโนมัติที่เข้ารหัสแล้วสามารถถูกดึงออกมา ถอดรหัส และส่งไปยังเซิร์ฟเวอร์ระยะไกลได้ค่อนข้างง่าย

โดยทั่วไปแล้ว ความปลอดภัยของการกรอกอัตโนมัติจะมีความแข็งแรงเท่ากับความปลอดภัยโดยรวมของอุปกรณ์ของคุณ และเมื่อพิจารณาถึงความถี่ที่ผู้คนมักจะปล่อยให้คอมพิวเตอร์ของพวกเขาไม่ได้ล็อก อยู่ในเครือข่าย Wi-Fi สาธารณะ หรือเข้าสู่ระบบเบราว์เซอร์ที่ทำงานแล้ว นั่นจึงไม่ใช่ความปลอดภัยที่สร้างความมั่นใจมากนัก

ปิดการกรอกอัตโนมัติและควบคุมด้วยตัวเอง

ปิดสิ่งที่คุณไม่จำเป็นต้องใช้จริงๆ

การปิดการเติมข้อความอัตโนมัติอาจรู้สึกไม่สะดวกในช่วงแรก โดยเฉพาะหากคุณจัดการบัญชีออนไลน์หลายบัญชี ข่าวดีคือคุณไม่จำเป็นต้องหยุดใช้ทันที คุณสามารถปิดการเติมข้อความอัตโนมัติในบางประเภท เช่น ข้อมูลการชำระเงินและที่อยู่ ในขณะที่ยังคงให้การเติมข้อมูลการเข้าสู่ระบบถูกจัดการโดยตัวจัดการรหัสผ่านที่น่าเชื่อถือ เว็บเบราว์เซอร์มักมีตัวเลือกการควบคุมอย่างละเอียดว่าฟิลด์ใดจะถูกจำและเมื่อใดที่จะเติมให้

ถ้าคุณพึ่งพาโปรแกรมจัดการรหัสผ่าน ควรใช้ทางลัดกรอกข้อมูลด้วยตนเองแทนการฉีดอัตโนมัติ หรือคุณสามารถคัดลอกและวางข้อมูลสำคัญจากไฟล์โน้ตสำเร็จรูปหรือตัวจัดการรหัสผ่านได้เลย

การกรอกข้อมูลอัตโนมัมิไม่ได้เป็นการละเมิดที่รอเกิดขึ้น—มันคือการละเมิดที่รอการถูกใช้ประโยชน์ เทคโนโลยีเองไม่ได้เป็นสิ่งชั่วร้าย; มันแค่ทำงานอยู่ภายในระบบที่สันนิษฐานว่ามีเจตนาดีจากเว็บ และนั่นคือสมมติฐานที่อินเทอร์เน็ตสมัยใหม่ไม่ค่อยให้รางวัล